Ugovor o obradi osobnih podataka
Ovaj dodatak uređuje obradu osobnih podataka koju Version2 obavlja u ime poslovnog korisnika pri pružanju QuickQR-a, u skladu s člankom 28. GDPR-a. Primjenjuje se samo na takvu obradu. Za obrade u kojima Version2 sam određuje svrhe vrijedi Politika privatnosti.
[DOPUNITI PRIJE SKLAPANJA: identitet i kontakt poslovnog korisnika kao voditelja obrade, ovlaštena osoba, datum prihvata i verzija dodatka, konačan popis podizvršitelja, rokovi brisanja i provedene mjere. Objavljeni nacrt nije sklopljen ugovor.]
1. Stranke i predmet
Voditelj obrade je poslovni korisnik naveden u narudžbi ili posebnom ugovoru. Izvršitelj je Version2 j.d.o.o. za digitalni marketing, Novigradska ulica 21, 23000 Zadar, Hrvatska, OIB 91496405628. Kontakt izvršitelja: office@version2.hr.
Predmet je tehnička pohrana, organizacija, prikaz, izmjena, dohvat, izvoz i brisanje podataka potrebnih za vođenje jelovnika, članova tima i omogućenih zahtjeva gostiju. Obrada traje tijekom pružanja usluge i ograničenog razdoblja povrata ili brisanja iz ovog dodatka, osim kada propis zahtijeva daljnje čuvanje.
2. Opis obrade
- Svrha
- Pružanje ugovorenih funkcija QuickQR-a po uputama voditelja, tehnička podrška i postupanje sa sadržajem pri prestanku ugovora.
- Skupine ispitanika
- Vlasnici, ovlašteni predstavnici i članovi tima poslovnog korisnika; osobe čiji se kontakt ili slika unesu u sadržaj; gosti ako se podaci o stolu i zahtjevu mogu povezati s njima.
- Kategorije podataka
- Ime, poslovni kontakt, korisnička uloga i povezane radnje; osobni podaci eventualno sadržani u jelovniku ili medijima; oznaka stola, vrsta zahtjeva, vrijeme i status. Statistika skeniranja ulazi u ovaj opseg kada je osobni podatak i kada svrhu određuje voditelj.
- Posebne kategorije
- Usluga nije namijenjena zdravstvenim podacima, dokumentima identiteta, podacima djece u računima ni drugim posebnim kategorijama. Voditelj ih ne unosi bez zasebno ugovorenog i pravno utemeljenog postupka.
- Priroda obrade
- Prikupljanje po unosu/zahtjevu, pohrana, objava prema izričitoj naredbi objave, dohvat ovlaštenom timu, prijenos odobrenom podizvršitelju, ograničenje, povrat i brisanje.
3. Upute i obveze voditelja
Voditelj određuje svrhu i zakonitu osnovu, obavještava ispitanike, daje točne upute, određuje ovlaštene članove tima i provjerava sadržaj prije objave. Dokumentirane upute čine ugovor, ovaj dodatak, korisnikove radnje u aplikaciji i dodatne upute dostavljene ovlaštenim kanalom.
Izvršitelj obrađuje podatke samo prema dokumentiranim uputama, uključujući prijenose u treće zemlje, osim kada ga propis obvezuje drukčije; o toj obvezi unaprijed obavještava voditelja ako zakon to dopušta. Odmah upozorava voditelja ako smatra da uputa krši GDPR ili druge primjenjive propise. Ne koristi podatke za vlastito oglašavanje ili treniranje modela bez zasebne valjane osnove i dopuštenog opsega.
4. Povjerljivost i pristup
Izvršitelj osigurava da se ovlaštene osobe obvežu na povjerljivost ili podliježu zakonskoj obvezi. Pristup se daje prema zadacima, ograničava na potreban opseg i ukida kada prestane potreba. Podrška smije pristupati poslovnom računu radi opravdanog zahtjeva ili zaštite usluge.
5. Sigurnost
Izvršitelj provodi mjere primjerene riziku prema članku 32. GDPR-a, uzimajući u obzir prirodu podataka i obrade. Mjere obuhvaćaju kontrolu pristupa, odvajanje korisničkih prostora, zaštitu prijenosa, sigurno rukovanje vjerodajnicama, ažuriranja, sigurnosne kopije, mogućnost oporavka i provjere učinkovitosti.
[PRILOG SIGURNOSTI ZA DOVRŠETAK: kod potvrđuje odvajanje poslovnih podataka, vlasničke/osobne ovlasti, sažimanje lozinki i aplikacijske zaštite. Potvrditi stvarni HTTPS i administrativni pristup, fizičku lokaciju, enkripciju pohrane, upravljanje ključevima, učestalost kopija, test oporavka, evidenciju pristupa podrške, zakrpe i odgovornu osobu. Ne navoditi certifikate, postotak dostupnosti ni rok oporavka bez dokaza.]
6. Podizvršitelji
Voditelj daje opće pisano odobrenje za angažiranje podizvršitelja navedenih u dovršenom i ugovorenom popisu podizvršitelja. Izvršitelj obavještava voditelja o namjeravanom dodavanju ili zamjeni i omogućuje obrazloženi prigovor prije promjene.
[POTVRDITI PREDLOŽENI ROK: obavijest 30 dana unaprijed, prigovor u 15 dana; dogovor o alternativi ili prestanku zahvaćene usluge ako se opravdani prigovor ne može riješiti. Uskladiti izvanredne sigurnosne zamjene s GDPR obvezom prethodne obavijesti.]
Izvršitelj ugovorom nalaže podizvršitelju obveze zaštite koje odgovaraju ovom dodatku, provjerava dostatna jamstva i ostaje odgovoran voditelju za izvršavanje podizvršiteljevih obveza. Samostalni voditelj za vlastitu zakonsku svrhu ne označava se automatski podizvršiteljem.
7. Prava ispitanika i pomoć voditelju
Uzimajući u obzir prirodu obrade, izvršitelj tehničkim i organizacijskim mjerama pomaže voditelju odgovoriti na zahtjeve ispitanika. Zahtjev koji primi u ulozi izvršitelja prosljeđuje voditelju bez nepotrebnog odgađanja i ne odlučuje sam o njemu osim po uputi ili propisu.
Izvršitelj, prema raspoloživim informacijama, pomaže voditelju u osiguravanju sigurnosti, procjeni učinka, prethodnom savjetovanju s nadzornim tijelom i obavješćivanju o povredama.
8. Povreda osobnih podataka
Izvršitelj obavještava voditelja bez nepotrebnog odgađanja nakon saznanja za povredu. Dostavlja poznatu prirodu povrede, skupine i približan broj pogođenih osoba/zapisa, kontakt, vjerojatne posljedice i poduzete ili predložene mjere. Ako sve informacije nisu dostupne, šalje ih postupno bez daljnjeg nepotrebnog odgađanja.
Izvršitelj čuva relevantne dokaze i surađuje na ublažavanju posljedica. Voditelj odlučuje o obavijesti AZOP-u i ispitanicima u svojoj ulozi. Rok od 72 sata za prijavu voditelja nadzornom tijelu, kada je prijava potrebna, nije dopuštenje izvršitelju da toliko čeka s obavještavanjem voditelja.
9. Prijenosi izvan EGP-a
Prijenos je dopušten samo prema dokumentiranim uputama i uz ispunjene uvjete poglavlja V. GDPR-a. Popis država i zaštitnih mjera sastavni je dio dovršenog priloga. Po potrebi se koriste primjenjive standardne ugovorne klauzule i dodatne mjere, nakon procjene stvarnog prijenosa.
[DOPUNITI: odobreni primatelji/države, ugovorni moduli i procjene prijenosa za hosting, CDN, poštu i prijevode. Ne uključivati osobne podatke u prijevode dok je osnova prijenosa nerazriješena.]
10. Povrat i brisanje
Po završetku pružanja usluge izvršitelj prema izboru voditelja vraća ili briše osobne podatke i briše postojeće kopije, osim podataka čije je čuvanje zakonski obvezno. Podatke zadržane temeljem zakona odvaja i ograničava na tu svrhu. O izvršenju na zahtjev daje potvrdu.
[DOPUNITI I TEHNIČKI PROVESTI: format potpunog izvoza, rok raspoloživosti, rok brisanja aktivne baze, medija, objavljenih snimki i sigurnosnih kopija, postupak brisanja nakon vraćanja kopije te usklađenje s pravom promjene pružatelja prema Aktu o podacima. Brisanje User zapisa nije dokaz brisanja poslovnog prostora.]
11. Dokazi i provjera
Izvršitelj stavlja voditelju na raspolaganje informacije potrebne za dokazivanje ispunjenja obveza i omogućuje revizije, uključujući inspekcije koje provodi voditelj ili ovlašteni revizor, te doprinosi takvim provjerama. Organizacija provjere mora zaštititi sigurnost i podatke drugih korisnika, ali ne smije onemogućiti prava iz članka 28. GDPR-a.
12. Prednost i prihvat dodatka
U slučaju nesklada, ovaj dodatak ima prednost za obradu u ulozi izvršitelja, a obvezne standardne ugovorne klauzule imaju prednost u svojem području. Ostali uvjeti usluge vrijede ako nisu u suprotnosti s njim.
[POTPIS ILI ELEKTRONIČKI PRIHVAT: voditelj ______; ovlaštena osoba ______; datum ______; verzija ______. Sačuvati dokaz prihvata i kopiju svih priloga. Ovaj nacrt ne stvara potvrdu da su postojeći korisnici prihvatili dodatak.]